Serviços

Testes de Segurança a Apps e Controlo de Qualidade do Código – OWASP

Existem centenas de problemas que podem afetar em geral a segurança de uma aplicação. A Hardsecure, garante à organização uma orientação sobre como encontrar de forma efetiva, vulnerabilidades em aplicações web, através da utilização de frameworks de teste e pela revisão de código, utilizando a framework da OWASP.

Em relação à framework de teste, a OWASP com especial incidência no Top 10 tem o seu foco na identificação dos riscos mais graves para uma ampla gama de entidades. Para cada um destes riscos, a Hardsecure fornece informações sobre a probabilidade de ocorrência e impacto técnico usando o esquema simples de classificação, que se baseia na metodologia de avaliação de riscos da OWASP (OWASP Risk Rating Methodology).

Ao nível da execução dos testes, estes serão realizados sob a última atualização, complementada com outros vetores que sejam considerados pertinentes para sua execução (conforme avaliação/resposta do código face à execução dos vetores de ataque).

 Em relação ao controlo de qualidade do código, de acordo com o tipo de aplicações serão executados um conjunto de testes no sentido de avaliar e gerir o risco associado a cada vulnerabilidade identificada.

Neste sentido, serão auditados os seguintes pontos (de acordo com metodologia OWASP Test Guide v4), conforme definido na seguinte checklist, podendo ser alterado em função da informação obtida na fase inicial do projeto. Salienta-se que o controlo de qualidade será feito com base nas metodologias definidas em termos de SAST (Static Application Security Testing) / DAST (Dynamic Application Security Testing) da OWASP, conforme link.

 

 

 

Códigos OWASP

INFORMATION GATHERING                                                                                      

4.2.1 - OTG-INFO-001

Conduct Search Engine Discovery and Reconnaissance for Information Leakage 

4.2.2 - OTG-INFO-002

Fingerprint Web Server

4.2.3 - OTG-INFO-003

Review Webserver Metafiles for Information Leakage

4.2.4 - OTG-INFO-004 

Enumerate Applications on Webserver

4.2.5 - OTG-INFO-005

Review Webpage Comments and Metadata for Information Leakage

4.2.6 - OTG-INFO-006

Identify application entry points

4.2.7 - OTG-INFO-007

Map execution paths through application

4.2.8 - OTG-INFO-008

Fingerprint Web Application Framework

4.2.9 - OTG-INFO-009

Fingerprint Web Application

4.2.10 - OTG-INFO-0010

Map Application Architecture

 

DATA VALIDATION TESTING                                                                                                                                

4.8.1 - OTG-INPVAL-001

Testing for Reflected Cross Site Scripting

4.8.2  - OTG-INFO-002

Testing for Stored Cross Site Scripting

4.8.3 - OTG-INPVAL-003

Testing for HTTP Verb Tampering  

4.8.4 - OTG-INPVAL-004

Testing for HTTP Parameter pollution

4.8.5 - OTG-INPVAL-005

Testing for SQL Injection, Oracle Testing, MySQL Testing, SQL Server Testing,

Testing PostgreSQL, MS Access Testing, Testing for NoSQL injection

4.8.6 - OTG-INPVAL-006

Identify application entry points

4.8.7 - OTG-INPVAL-007

Testing for LDAP Injection

4.8.8 - OTG-INPVAL-008

Testing for ORM Injection

4.8.9 - OTG-INPVAL-009

Testing for XML Injection

4.8.10 - OTG-INPVAL-0010

Testing for SSI Injection

4.8.11 - OTG-INPVAL-0011

Testing for XPath Injection

4.8.12 - OTG-INPVAL-0012

IMAP/SMTP Injection

4.8.13 - OTG-INPVAL-0013

Testing for Code Injection, Testing for Local File Inclusion, Testing for Remote File Inclusion

4.8.14 - OTG-INPVAL-0014

Testing for Command Injection, Testing for Heap overflow, Testing for Stack overflow.

Testing for Format string

4.8.15 - OTG-INPVAL-0015

Testing for incubated vulnerabilities

4.8.16 - OTG-INPVAL-0016

Testing for HTTP Splitting/Smuggling

 

Error Handling

4.9.1 - OTG-ERR-001

Analysis of Error Codes

4.9.2 - OTG-ERR-002

Analysis of Stack Traces

 

Business Logic Testing                                                           

4.11.1 - OTG-BUSLOGIC-001

Test Business Logic Data Validation

4.11.2 - OTG-BUSLOGIC-002

Test Ability to Forge Requests

4.11.3 - OTG-BUSLOGIC-003

Test Ability to Forge Requests

4.11.4 - OTG-BUSLOGIC-004

Test for Process Timing

4.11.5 - OTG-BUSLOGIC-005

Test Number of Times a Function Can be Used

4.11.6 - OTG-BUSLOGIC-006

Testing for the Circumvention of Work Flows

4.11.7 - OTG-BUSLOGIC-007

Test Defenses Against Application Mis-use

4.11.8 - OTG-BUSLOGIC-008

Test Defenses Against Application Mis-use

4.11.9 - OTG-BUSLOGIC-009

Test Upload of Malicious Files